Университет Корё: GANADI прослеживает путь open source кода и сокращает проверку уязвимостей на около 90%

Исследовательская группа профессоров Ли Хиджо и У Сынхуна с кафедры компьютерных наук Университета Корё разработала GANADI — метод, восстанавливающий скрытую родословную повторно используемого открытого кода, сообщает dailysmart.co.kr. Университет объявил о результате 6-го числа. Работа принята на конференцию ASE 2026 (IEEE/ACM International Conference on Automated Software Engineering) и представлена 15 октября в Мюнхене, Германия dailysmart.co.krdailysmart.co.krdailysmart.co.krОткрыть источник ↗.

Как GANADI прослеживает повторное использование кода

Большая часть современного ПО собирается из изменённого открытого кода. Поэтому уязвимость, исправленная в оригинале, может остаться в других программах, а по пути возможно появление новых. Определить, как далеко распространился дефект, сложно, потому что код проходит через несколько проектов. По данным команды, её прежний инструмент CENTRIS находил открытые компоненты внутри отдельных программ, а GANADI дополнительно прослеживает конкретные проекты, через которые код был передан dailysmart.co.krdailysmart.co.krdailysmart.co.krОткрыть источник ↗.

Результаты на проектах GitHub

Команда собрала и проанализировала 2500 крупных проектов на C/C++ с GitHub и применила GANADI к существующему методу обнаружения уязвимостей. Вместо просмотра слабо связанных отчётов об уязвимостях подход отбирал только те, что относятся к проектам, связанным реальными путями повторного использования кода. Объём проверки сократился примерно на 90% dailysmart.co.krdailysmart.co.krdailysmart.co.krОткрыть источник ↗.

В одном из случаев уязвимость, возникшая, когда Redis взял и изменил исходный код языка программирования Lua, распространилась на другое ПО, использующее этот код dailysmart.co.krdailysmart.co.krdailysmart.co.krОткрыть источник ↗. Исследователи также нашли в реальных проектах с открытым кодом 48 ранее неизвестных или неустранённых уязвимостей и сообщили о них. Из них 23 были быстро исправлены dailysmart.co.krdailysmart.co.krdailysmart.co.krОткрыть источник ↗.

Ли заявил, что команда намерена связать работу с технологией SBOM, фиксирующей состав программного обеспечения. Кроме того, 9 октября Ли был выбран получателем зарубежного исследовательского гранта Фонда Окава на 2026 год за проект по технологии SBOM для безопасной цепочки поставок. В этом году фонд отобрал 16 исследователей из четырёх стран dailysmart.co.krdailysmart.co.krdailysmart.co.krОткрыть источник ↗.